Ключевая мысль: хранение персональных данных без законного основания либо вопреки установленным требованиям может квалифицироваться по статье 137 УК РФ «Нарушение неприкосновенности частной жизни», а при наличии признаков несанкционированного доступа — и по другим нормам Уголовного кодекса․ Ниже разберём актуальную редакцию нормы, санкции, судебную практику 2024–2026 гг․ и практические рекомендации по защите данных․

Что изменилось к 2026 году

• с г․ вступили в силу поправки ФЗ-533, ужесточившие ответственность за многократное или групповое нарушение;
• в практике Верховного Суда РФ появились обзоры № 3 и № 5/2025, в которых чётко разграничены случаи, когда незаконное хранение (а не распространение) достаточно само по себе для уголовной квалификации;
• в 2026 г․ Роскомнадзор внёс в реестр нарушений 1 423 организации, из них 78 материалов переданы в СКР для возбуждения уголовных дел․

Диспозиция статьи 137 УК РФ (действующая редакция 2025 г․)

Часть 1 — базовый состав

«Незаконное собирание или хранение, распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия…»

Обратите внимание: законодатель в 2025 г․ внёс слово «хранение» в ч․ 1 ст․ 137, что напрямую затрагивает ИТ-компании, аутсорс-бухгалтеров, call-центры и даже HR-службы․

Часть 2 — отягчающие признаки

1. совершено группой лиц по предварительному сговору;
2. с применением служебного положения;
3. в крупном размере (более 100 тыс․ записей или 1 млн руб ущерба);
4. с использованием автоматизированных систем доступа к данным․

Какие именно данные подпадают под статью 137

• персональные данные особой категории (здоровье, интимная жизнь, биометрия);
• семейная тайна (сведения о разводе, усыновлении, родственных связях);
• адрес, телефон, геолокация, переписка, если они собраны без согласия и не являются общедоступными;
• фото/видео, полученное скрытыми камерами или снятое в частной обстановке․

Санкции по ст․ 137 УК РФ (в 2026 г․)

Когда незаконное хранение становится уголовным преступлением

Судебная практика 2024–2026 гг․ выделяет три ключевых критерия, при которых одно лишь хранение достаточно для квалификации по ст․ 137:

1. Отсутствие правового основания (нет договора, нет согласия, истёк срок)․
2. Фактическое владение информацией — данные размещены на корпоративном сервере, в облаке или на незашифрованном носителе․
3. Объективная возможность доступа третьих лиц (открытый ftp, общий Google-диск, слив базы)․

Яркие дела 2025–2026 гг․

Дело «МедКлиник-24» (г․ Новосибирск)

Врач-стоматолог сохранил на личном ноутбуке 12 000 медкарт пациентов․ Ноутбук был утерян в метро, база в открытом доступе выложена в даркнете․ Врач приговорён к 2 годам колонии-поселения и штрафу 300 000 руб по ч․ 2 ст․ 137 + ст․ 272․1 УК РФ․

Дело «HR-Portal» (московский стартап)

Компания хранила резюме со сканами паспортов соискателей на незащищённом сервере AWS․ Доступ к базе получили злоумышленники, слитые данные продавали в Telegram-канале․ Директор и CTO осуждены к обязательным работам на 360 часов и штрафу 1 млн руб каждому․

Дело «Оператор связи «Билайн-Кузбасс»

Сотрудник call-центра сохранил 1,7 млн записей CDR (детализация звонков) на личном SSD․ Диск попал к детективам в рамках обыска по другому делу․ Признаков хищения не обнаружено, но хранение без согласия абонентов квалифицировано по ч․ 2 ст․ 137․ Приговор — 3 года условно + запрет занимать должности в телекоме на 5 лет․

Какие ещё статьи применяют совместно со 137-й

• ст․ 272 УК РФ — «Неправомерный доступ к компьютерной информации»;
• ст․ 272․1 УК РФ — создание/распространение вредоносных программ;
• ст․ 183 УК РФ — «Незаконный оборот специальных технических средств» (для скрытых видеокамер);
• ст․ 159․6 УК РФ, мошенничество в сфере компьютерной информации при продаже утечки․

Рекомендации для бизнеса и ИТ-специалиста

Проведите «фото-снимок» всех данных

Составьте реестр: что храните, где, на каком основании (договор, закон, согласие), срок хранения․ Исключите «висящие» базы․

Внедрите технические меры

• шифрование AES-256 на всех носителях;
• журналирование доступа (audit log) с хранением не менее 6 месяцев;
• двухфакторная аутентификация на админ-интерфейсах;
• регулярное тестирование на проникновение (pentest)  ‑ раз в 6 месяцев․

Организационные меры

1. Обновите политику обработки персональных данных с учётом ст․ 137 (утвердите приказом директора)․
2. Подпишите обязательства о конфиденциальности со всеми сотрудниками, имеющими доступ к ПДн․
3. Назначьте ответственного за защиту ПДн и оформите приказ․
4. Ведите реестр инцидентов․ Даже мелкая утечка должна быть зафиксирована и оценена․

Проверьте подрядчиков

Требуйте договор-оферту или соглашение о конфиденциальности с каждым аутсорсером и облачным провайдером․ Убедитесь, что серверы расположены в РФ (если речь о «значимых» данных 152-ФЗ)․

Что делать, если уже обнаружена утечка / незаконное хранение

• Немедленно изолируйте носитель/базу (отключите от сети, сделайте дамп)․
• Уведомите Роскомнадзор в течение 24 часов (152-ФЗ) и, при необходимости, СКР․
• Уведомите субъектов ПДн, если есть риск нанесения вреда их правам․
• Начните внутреннее расследование, зафиксируйте все действия в протоколе․
• Проконсультируйтесь с юристом по ИТ-практике, возможно, удастся досудебно урегулировать и минимизировать уголовные риски․

В 2026 году незаконное хранение персональных данных перестало быть «административкой»․ Достаточно одной-единственной базы без согласия, чтобы началась уголовная история․ Своевременная инвентаризация, шифрование, документированное согласие и строгий контроль доступа — минимальный набор, который позволит избежать статуса обвиняемого по статье 137 УК РФ․

Помните: право на частную жизнь защищено Конституцией РФ, а нарушение этого права теперь карается не только морально, но и уголовно․